jm33-m0/emp3r0rAuto‑recuperable Gossip Mesh C2 con Descubrimiento de Pares Asistido, Ejecución BOF Multiplataforma y Agentes Programables.
Un C2 autorreparable y solo en memoria para Linux y Windows — agentes que sobreviven a enlaces rotos, nunca tocan el disco y se abren camino mediante scripts a través de la API de Win32.
emp3r0r es un framework de post-explotación y C2 creado para entornos Linux y Windows donde el sigilo y la resiliencia no son opcionales. En lugar de asumir una conexión fiable a un único servidor, los agentes forman una malla autorreparable que sigue funcionando cuando los enlaces se rompen. En lugar de pedirle a la víctima Python o PowerShell, ejecutan todo en memoria. Y en lugar de limitarte a los trucos de una sola plataforma, emp3r0r ejecuta BOFs de Windows, objetos de Linux y scripts de Starlark — todo sin archivos, todo en proceso.
Cada agente lleva su propio motor de scripting, de modo que puedes añadir nueva lógica de post-explotación sin compilar ni desplegar binarios.
Por qué es importante: escribir y ampliar la funcionalidad del agente se vuelve tan sencillo como editar un script, sin la huella de dejar un intérprete o un nuevo binario en la víctima.
Los agentes vinculan su identidad a una clave criptográfica la primera vez que se comunican contigo — y ese vínculo nunca cambia.
Por qué es importante: el secuestro de sesiones y la clonación de agentes simplemente no ocurren; cada agente con el que hablas es el que registraste.
Cada enlace C2 y entre pares utiliza claves ECDH efímeras con claves de cifrado derivadas de la sesión.
Por qué es importante: incluso si una clave de largo plazo se ve comprometida más adelante, no puede usarse para descifrar el tráfico que ya pasó.
Los agentes se descubren entre sí y retransmiten tráfico a través de una malla de gossip, de modo que la operación no se derrumba cuando desaparece un enlace o un servidor.
Por qué es importante: la red hace el pivoting por ti. Corta un enlace, pierde una máquina o bloquea el C2 — los agentes se redirigen por sí solos.
Los archivos se mueven directamente entre agentes, no solo a través del C2.
Por qué esto importa: la entrega es rápida y en gran medida invisible para el canal C2 — ideal para entornos con egreso restringido.
Conseguir que un agente entre se trata con la misma seriedad que mantenerlo vivo.
Por qué esto importa: un acceso inicial pequeño, adaptable e higiénico en memoria significa que puedes aterrizar en hosts que de otro modo estarían fuera de alcance.
Ejecuta módulos C compilados en proceso en cualquiera de las dos plataformas:
Por qué esto importa: los BOF son tan buenos como su loader — emp3r0r los ejecuta en proceso sin un nuevo proceso y sin dejar rastro, tanto en Linux como en Windows.
Las bibliotecas nativas se mapean en el propio espacio de direcciones del agente y se invocan allí — sin LoadLibrary, sin dlopen, sin que ningún archivo llegue nunca al disco.
memmod carga DLLs PE en Windows y .so ELF en Linux, gestionando relocalizaciones, importaciones y llamadas a exportaciones en proceso.memmod de WireGuard y el cargador ELF y la maquinaria de llamadas de Sliver C2 / sliverarmory/reflektor.memdeps se sitúa por encima: una dependencia declarada se resuelve desde memfs/C2 cifrado, se mapea solo para la operación que la necesita y se desmapea al retornar.Por qué esto importa: extender el agente con código nativo no requiere un nuevo binario, un servicio de carga ni un archivo en disco.
Los módulos de Linux son scripts de Starlark que pueden llegar hasta el propio kernel. El agente mapea libbpf bajo demanda y expone su API a los scripts como builtins respaldados por Go, de modo que un módulo puede enumerar, adjuntarse y desmontar objetos eBPF sin compilador y sin proceso hijo.